Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO).

Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen (AGB) von ProImmoRechner. Er wird bei der Registrierung abgeschlossen – mit E-Mail-Adresse und Passwort ebenso wie mit einem Google-Konto – durch die elektronische Bestätigung des Nutzers (Art. 28 Abs. 9 DSGVO) und gilt, sobald der Nutzer über die Plattform personenbezogene Daten Dritter verarbeitet, für die er Verantwortlicher ist.

Parteien

Auftragnehmer (Auftragsverarbeiter):
ProImmoRechner, Maximilian Dumitrescu, Zur Bornenbitze 9, 53773 Hennef (Sieg), Deutschland, E-Mail: info@proimmorechner.de

Auftraggeber (Verantwortlicher): der Nutzer im Sinne der AGB, identifiziert durch die Angaben in seinem Nutzerkonto.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Plattform ProImmoRechner als Software-Werkzeug bereit. Gibt der Auftraggeber dabei personenbezogene Daten Dritter ein, insbesondere seiner Kunden und Interessenten, verarbeitet der Auftragnehmer diese ausschließlich im Auftrag und nach Weisung des Auftraggebers.

(2) Gegenstand, Art und Zweck der Verarbeitung, Datenarten und betroffene Personen beschreibt Anlage 1.

(3) Für die Daten des Auftraggebers selbst (insbesondere Konto-, Vertrags- und Zahlungsdaten) ist der Auftragnehmer eigener Verantwortlicher; dafür gilt die Datenschutzerklärung.

(4) Dieser Vertrag läuft so lange wie der Nutzungsvertrag einschließlich des Tarifs Basis. Endet nur ein kostenpflichtiges Abonnement und wird das Konto im Tarif Basis fortgeführt, läuft dieser Vertrag weiter. Die Pflichten nach § 9 gelten über das Vertragsende hinaus.

§ 2 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers – auch hinsichtlich der Übermittlung in Drittländer –, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen sind dieser Vertrag und die Bedienung der Plattform durch den Auftraggeber, insbesondere das Eingeben, Ändern, Exportieren und Löschen von Daten. Weitere Weisungen erteilt der Auftraggeber in Textform an info@proimmorechner.de.

(3) Hält der Auftragnehmer eine Weisung für datenschutzwidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 3 Pflichten des Auftragnehmers

Der Auftragnehmer

• verarbeitet die Daten nur zu den in Anlage 1 genannten Zwecken und stellt keinen Personenbezug zu eigenen Zwecken her;
• verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen;
• trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind;
• unterstützt den Auftraggeber bei Anträgen betroffener Personen (§ 5) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm das unter Berücksichtigung der Art der Verarbeitung möglich ist;
• meldet Verletzungen des Schutzes personenbezogener Daten nach § 6;
• stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind (§ 8).

§ 4 Ort der Verarbeitung

(1) Die Daten werden in Rechenzentren innerhalb der Europäischen Union gespeichert (Region Irland, Dublin).

(2) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur durch die in Anlage 3 genannten Unterauftragsverarbeiter und nur auf der dort genannten Grundlage statt (Art. 44 ff. DSGVO). Dazu gehören die Bereitstellung der Plattform durch Vercel (USA) und Zugriffe von Supabase im Rahmen von Betrieb und Support von außerhalb der EU. Weitere Übermittlungen in Drittländer erfolgen nur nach vorheriger Information des Auftraggebers nach § 7 Abs. 2.

§ 5 Rechte betroffener Personen

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser den Antrag unverzüglich an den Auftraggeber weiter und beantwortet ihn nicht selbst.

(2) Der Auftraggeber kann Auskunft, Berichtigung und Löschung grundsätzlich selbst über die Funktionen der Plattform erfüllen. Wo das nicht möglich ist, unterstützt ihn der Auftragnehmer auf Anfrage, insbesondere durch Herausgabe der Daten einer betroffenen Person in einem gängigen, maschinenlesbaren Format.

§ 6 Meldung von Datenschutzverletzungen

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes der im Auftrag verarbeiteten Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, in Textform.

(2) Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, reicht der Auftragnehmer unverzüglich nach.

(3) Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO) und an betroffene Personen (Art. 34 DSGVO) obliegen dem Auftraggeber; der Auftragnehmer unterstützt ihn dabei.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Will der Auftragnehmer einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, informiert er den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt des Wechsels kündigen; bei jährlicher Zahlung erstattet der Auftragnehmer das Entgelt für die verbleibenden vollen Monate anteilig.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrages entsprechen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Er haftet dem Auftraggeber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

(4) Nebenleistungen wie Telekommunikation oder Postdienste sind keine Unterauftragsverarbeitung im Sinne dieses Vertrages.

§ 8 Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung dieses Vertrages vorrangig durch die Beschreibung der Maßnahmen in Anlage 2 sowie durch Zertifikate und Prüfberichte seiner Unterauftragsverarbeiter nach.

(2) Reicht das nicht aus, ermöglicht der Auftragnehmer Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen sind mindestens vier Wochen vorher anzukündigen, finden während üblicher Geschäftszeiten statt und höchstens einmal im Kalenderjahr, es sei denn, es besteht ein konkreter Anlass. Der Auftraggeber trägt die Kosten der Überprüfung, sofern sie keinen wesentlichen Verstoß des Auftragnehmers ergibt.

§ 9 Herausgabe und Löschung nach Vertragsende

(1) Bis zum Ende des Nutzungsvertrages und bis 30 Tage danach gibt der Auftragnehmer die im Auftrag verarbeiteten Daten auf Anfrage an info@proimmorechner.de unentgeltlich in einem gängigen, maschinenlesbaren Format (zum Beispiel CSV oder JSON) heraus, gespeicherte PDFs als PDF.

(2) Danach löscht der Auftragnehmer die Daten, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Löscht der Auftraggeber sein Konto selbst, werden die Daten sofort gelöscht. Sicherungskopien werden im Rahmen der regulären Rotation überschrieben.

(3) Der Auftragnehmer bestätigt die Löschung auf Anfrage in Textform.

§ 10 Haftung

(1) Gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Verhältnis der Parteien gelten die Haftungsregeln der AGB (§ 15), soweit zwingendes Recht nicht entgegensteht.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen der Parteien geht dieser Vertrag für die Auftragsverarbeitung vor.

(2) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Eine neue Fassung legt der Auftragnehmer dem Auftraggeber zur Zustimmung vor; bis zur Zustimmung gilt die bisherige Fassung. § 7 Abs. 2 bleibt unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand: Bereitstellung der Plattform ProImmoRechner zur Berechnung, Speicherung, Verwaltung und zum Vergleich von Immobilien-Investitionen, einschließlich der Zuordnung von Berechnungen zu Kunden des Auftraggebers und der Erstellung von PDFs (Berechnung, Vergleich, Selbstauskunft).

Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Bereitstellen, Herausgeben und Löschen im Rahmen der Funktionen der Plattform.

Zweck: Nutzung der Berechnungs-, Speicher- und Verwaltungsfunktionen durch den Auftraggeber für seine Kunden und Interessenten.

Kategorien personenbezogener Daten:

• Stamm- und Kontaktdaten (zum Beispiel Name, Anschrift, Geburtsdatum, E-Mail-Adresse, Telefonnummer)
• persönliche Verhältnisse, soweit für die Berechnung erheblich (zum Beispiel Familienstand, Zahl der Kinder, Steuerklasse, Art der Krankenversicherung)
• wirtschaftliche und finanzielle Angaben (zum Beispiel Einkommen, zu versteuerndes Einkommen, Vermögen, Verbindlichkeiten, Finanzierungsdaten, Angaben zur Beschäftigung)
• Zuordnungsdaten (Verknüpfung von Berechnungen und PDFs mit Kunden)

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): die Angabe, ob Kirchensteuerpflicht besteht, und der Kirchensteuersatz. Diese Angabe kann einen Rückschluss auf die Religionszugehörigkeit zulassen. Der Auftraggeber stellt sicher, dass für ihre Verarbeitung eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht, in der Regel die ausdrückliche Einwilligung des Kunden. Weitere besondere Kategorien, etwa Gesundheitsdaten, darf der Auftraggeber über die Plattform nicht verarbeiten.

Betroffene Personen: Kunden und Interessenten des Auftraggebers sowie in deren Angaben genannte Personen (zum Beispiel Ehe- oder Lebenspartner).

Dauer: Laufzeit des Nutzungsvertrages, danach § 9.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Die Daten liegen in zertifizierten Rechenzentren der Unterauftragsverarbeiter (Speicherung in der Region Irland, Dublin); deren physische Sicherung obliegt diesen. Der Auftragnehmer betreibt keine eigenen Server.
• Zugangskontrolle: Zugang nur über persönliche Nutzerkonten; Anmeldung mit E-Mail-Adresse und Passwort (Passwörter werden nur als kryptografischer Hashwert gespeichert) oder über Google; keine Sammelkonten. Administrative Zugänge des Auftragnehmers zu den Diensten der Unterauftragsverarbeiter sind mit Zwei-Faktor-Authentifizierung gesichert.
• Zugriffskontrolle: Jeder Nutzer kann ausschließlich auf seine eigenen Daten zugreifen.
• Trennungskontrolle: logische Trennung der Daten verschiedener Nutzer auf Datenbankebene durch Zugriffsbeschränkung je Datensatz (Row Level Security).

Integrität

• Weitergabekontrolle: Transportverschlüsselung (TLS) für alle Verbindungen; Verschlüsselung der gespeicherten Daten und der Sicherungskopien durch den Unterauftragsverarbeiter (AES-256).
• Eingabekontrolle: Eingabe, Änderung und Löschung erfolgen durch den Auftraggeber über sein Konto; Zugriffe auf die Infrastruktur werden von den Unterauftragsverarbeitern protokolliert.

Verfügbarkeit und Belastbarkeit

• tägliche verschlüsselte Datensicherungen durch den Unterauftragsverarbeiter, getrennt von den Produktivdaten;
• Wiederherstellbarkeit der Daten nach einem Zwischenfall.

Verfahren zur regelmäßigen Überprüfung

• Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern;
• Überprüfung und Anpassung der Maßnahmen an den Stand der Technik, mindestens einmal jährlich.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Die Unterauftragsverarbeiter setzen ihrerseits weitere Dienstleister ein (zum Beispiel Amazon Web Services als Rechenzentrumsbetreiber für Supabase). Diese sind in den Listen der jeweiligen Unterauftragsverarbeiter veröffentlicht und an gleichwertige Datenschutzpflichten gebunden.